Frage zu magic quotes

bicpi · 30.12.2004, 17:21

Hallo, wollte mich nur versichern, ob ich es richtig verstanden habe:
magic_quotes ist on. Ein nun übergebenes Formularfeld kommt wir mit addslashes wieder heraus. Wenn ich es nun in ein mysql_query packe, dann ist die SQL-Syntax nicht gefährdet, da ja gequotet wurde. Nun erhalte ich aber in der Datenbank unmaskierte Zeichenketten. Wie geht das vor sich? Fürht mySQL intern ein stripslashes durch?

Viele Grüße, Philipp

Kort · 28.01.2005, 10:40

Kannst du den Bereich der mySQL-Abfrage mal posten?
Ich vermute, dass du es s geschrieben hast:

PHP-Code:

  <?php

    $sql = mysql_query('SELECT dies,das FROM '.$tabellenname.' LIMIT 1');

?>

richtig ist aber:

PHP-Code:

  <?php

    $sql = mysql_query('SELECT dies,das FROM "'.tabellenname.'" LIMIT 1');

?>

Viele Grüße,
Kort

bicpi · 28.01.2005, 16:27

Mh, jetzt versteh ich Deine Antwort gar nicht...
Es geht ja eigentlich schon mal nur um INSERTS, ich fragte mich quasi nur, wieso zB folgendes unmaskierte Zeichenketten in der DB ablegt:

Code:

"INSERT INTO tab VALUES ('" . addslashes($var) . "')"

Kann mir das ja nur so erklären, dass das mySQL intern regelt...

Viele Grüße

PS: Wie geht denn Deine Abfrage bitte vor sich, so ohne Variable ?

Kort · 28.01.2005, 16:29

Zitat:

Zitat von bicpi

PS: Wie geht denn Deine Abfrage bitte vor sich, so ohne Variable ?

Und wie darf ich das verstehen?

28.01.2005, 16:33

Zitat:

Zitat von bicpi

Nun erhalte ich aber in der Datenbank unmaskierte Zeichenketten. Wie geht das vor sich? Führt mySQL intern ein stripslashes durch?

Das wäre mir neu.

bicpi · 28.01.2005, 16:47

Zitat:

'SELECT dies,das FROM "'.tabellenname.'" LIMIT 1'

Was ist denn "tabellenname", eine Konstante?

Kort · 28.01.2005, 16:48

upps, aber ist ja klar, was gemeint war.
gehört halt ein $ davor.

bicpi · 28.01.2005, 17:09

Der TabellenNAME braucht doch aber nicht von ' umschlossen zu sein, nur die Zeichenketten bei den "VALUES"

Kort · 28.01.2005, 17:14

Es könnte sich auch auch um einen variablen Tabellennamen handeln, oder?!?

Ausserdem ' != "

bicpi · 28.01.2005, 17:25

Du hast doch den Tabellenname (der eine Variable ist) in "" eingeschlossen (nicht in ', Sorri), aber wieso?
So reichts doch auch:

Code:

"SELECT dies,das FROM $tabellenname"

oder halt

Code:

'SELECT dies,das FROM ' .$tabellenname

Habs noch nie anders gemacht

Themen-Optionen
Druckbare Version zeigen Jemanden per E-Mail auf dieses Thema hinweisen
Thema bewerten
Thema bewerten:

Ähnliche Themen
Thema	Autor	Forum	Antworten	Letzter Beitrag
Frage zu spam bots und captcha	litterauspirna	PHP Tipps 2008	6	20.05.2008 23:56
Frage zu Typen und Performence	notyyy	PHP-Fortgeschrittene	13	14.11.2007 02:18
Frage zu Session	SmileMan	PHP Tipps 2008	1	08.10.2007 11:22
Partition Magic - Mist?	cybertrek	Off-Topic Diskussionen	8	09.02.2007 11:14
DNS Problem / Frage	b++	Server, Hosting und Workstations	3	12.10.2006 13:27
Ein kleine Frage zum posten hier im Forum	Kein Genie	Off-Topic Diskussionen	3	20.03.2006 13:40
method post frage	test022	PHP Tipps 2007	10	23.12.2005 13:02
.htaccess - Frage	Stümper	PHP Tipps 2005	11	30.05.2005 11:56
Performence Frage		PHP-Fortgeschrittene	10	06.05.2005 19:00
Frage zu einem Editformular		PHP Tipps 2005	3	25.04.2005 14:58
mal ne Frage		PHP Tipps 2005	7	14.04.2005 09:46
[Erledigt] Frage zur Funkrionen?		PHP Tipps 2004-2	10	01.12.2004 09:42
Frage zur Formatierung von Text	obi	PHP Tipps 2004	1	03.11.2004 13:35
Frage zum Einfügen von Fotos		PHP Tipps 2004	11	26.09.2004 14:28
[Erledigt] Frage!		PHP Tipps 2004	4	27.07.2004 11:25

30.12.2004, 17:21
bicpi Erfahrener Benutzer Registriert seit: 25.01.2004 Beiträge: 239	Frage zu magic quotes Hallo, wollte mich nur versichern, ob ich es richtig verstanden habe: magic_quotes ist on. Ein nun übergebenes Formularfeld kommt wir mit addslashes wieder heraus. Wenn ich es nun in ein mysql_query packe, dann ist die SQL-Syntax nicht gefährdet, da ja gequotet wurde. Nun erhalte ich aber in der Datenbank unmaskierte Zeichenketten. Wie geht das vor sich? Fürht mySQL intern ein stripslashes durch? Viele Grüße, Philipp


Mister Ad PHP Code Flüsterer Registriert seit: 21.08.2005 Beiträge: 4682 PHP-Kenntnisse: Fortgeschritten

28.01.2005, 10:40
Kort Erfahrener Benutzer Registriert seit: 09.09.2004 Beiträge: 716 PHP-Kenntnisse: Anfänger	Kannst du den Bereich der mySQL-Abfrage mal posten? Ich vermute, dass du es s geschrieben hast: PHP-Code: `<?php $sql = mysql_query('SELECT dies,das FROM '.$tabellenname.' LIMIT 1'); ?>` richtig ist aber: PHP-Code: `<?php $sql = mysql_query('SELECT dies,das FROM "'.tabellenname.'" LIMIT 1'); ?>` Viele Grüße, Kort __________________ "Only wimps use tape backup: real men just upload their important stuff on ftp, and let the rest of the world mirror it." - Linus Torvalds, 1996

28.01.2005, 16:27
bicpi Erfahrener Benutzer Registriert seit: 25.01.2004 Beiträge: 239	Mh, jetzt versteh ich Deine Antwort gar nicht... Es geht ja eigentlich schon mal nur um INSERTS, ich fragte mich quasi nur, wieso zB folgendes unmaskierte Zeichenketten in der DB ablegt: Code: "INSERT INTO tab VALUES ('" . addslashes($var) . "')" Kann mir das ja nur so erklären, dass das mySQL intern regelt... Viele Grüße PS: Wie geht denn Deine Abfrage bitte vor sich, so ohne Variable ?

28.01.2005, 16:48
Kort Erfahrener Benutzer Registriert seit: 09.09.2004 Beiträge: 716 PHP-Kenntnisse: Anfänger	upps, aber ist ja klar, was gemeint war. gehört halt ein $ davor. __________________ "Only wimps use tape backup: real men just upload their important stuff on ftp, and let the rest of the world mirror it." - Linus Torvalds, 1996

28.01.2005, 17:09
bicpi Erfahrener Benutzer Registriert seit: 25.01.2004 Beiträge: 239	Der TabellenNAME braucht doch aber nicht von ' umschlossen zu sein, nur die Zeichenketten bei den "VALUES" __________________ Viele Grüße

28.01.2005, 17:14
Kort Erfahrener Benutzer Registriert seit: 09.09.2004 Beiträge: 716 PHP-Kenntnisse: Anfänger	Es könnte sich auch auch um einen variablen Tabellennamen handeln, oder?!? Ausserdem ' != "

28.01.2005, 17:25
bicpi Erfahrener Benutzer Registriert seit: 25.01.2004 Beiträge: 239	Du hast doch den Tabellenname (der eine Variable ist) in "" eingeschlossen (nicht in ', Sorri), aber wieso? So reichts doch auch: Code: "SELECT dies,das FROM $tabellenname" oder halt Code: 'SELECT dies,das FROM ' .$tabellenname Habs noch nie anders gemacht